W jądrze języka PHP odkryto dwie krytyczne podatności znane jako PHP2Shell (CVE-2026-109618 oraz CVE-2026-109619). Błędy te wynikają z nieprawidłowego przetwarzania pamięci podczas niedoborów zasobów oraz błędów w odwoływaniu się do zwolnionej już pamięci. Skutkiem może być zdalne wykonanie dowolnego kodu na serwerze przez nieautoryzowanego atakującego.
Problem dotyczy bezpośrednio środowiska uruchomieniowego, co oznacza, że samo zaktualizowanie silnika WordPressa nie zapewnia ochrony. Użytkownicy muszą upewnić się, że ich dostawca hostingu lub administrator serwera zainstalował poprawione wersje PHP (np. 8.3.36, 8.4.27 lub 8.5.12). W przypadku braku możliwości natychmiastowej aktualizacji, zaleca się izolację aplikacji od sieci publicznej.
Weryfikacja bezpieczeństwa nie może opierać się jedynie na braku rozszerzenia .php w adresie URL. Należy sprawdzić wersję PHP w panelu administracyjnym WordPressa (Narzędzia -> Zdrowie witryny) lub bezpośrednio w konsoli zarządzania hostingiem. Ważne jest również potwierdzenie, że po instalacji pakietów nastąpił restart usług, aby zmiany weszły w życie.
